国内防火墙系统大比拼(4)

中科院信息安全技术工程研究中心的ERCIST防火墙系统

ERCIST（安胜）防火墙是网络安全系统的组合套件，由包过滤路由器、代理服务器以及虚拟专用网VPN三大部分组成。还可完成地址转换、安全审计等功能。包过滤路由器以黑盒子方式工作，管理部件与运作部件分离，两部件之间通过加密方式传送和接收规则信息，接收日志信息，可防止窃取和伪造，又可在远程管理包过滤器的运作而不影响运作部件的正常动行。代理服务器对内部和外部用户访问许可的授权包括允许访问的种类、允许连接的时间区间、访问的级别等。根据访问的许可，对每一次访问中用户的身份及访问权限进行认证，保证内部网络中信息资源的合法使用。认证的方式可以是通用型的用户名加口令字方式，进一步可以对口令进行一次一密的变换，防止的传输过程中被窃取而进行冒充者仍无发登录，而且审计中又能加以记录；可结合智能卡安全技术的使用，进行强身份验证，更好地保障重要信息资源的安全。虚拟专用网模块则通过建立安全通道，封装IP地址和加密传输等方式，实现跨越公用网的内部用户的安全连接，所使用的由中科院信息安全中心自行研制的加密算法QC-1已得到密码委员会的审核和批准。

ERCIST防火墙可有效地隔离内外网络的直接连接，限制内外网之间信息的流入和流出，隐蔽内部网的组成情况，对访问的用户进行身份识别，可防止源路由、IP地址欺骗、拒绝服务等多种攻击，能自动发现类似ISS进行的扫描，提出安全警告，可以进行安全的远程数据传送，还提供针对防火墙系统运行状态、包过滤器的过滤信息、代理服务的情况和代理用户使用信息等数据的日志审计和报警功能。实现IP地址与MAC地址绑定的功能，对IP盗用进行了有效的控制。为保护防火墙自身的安全，在防火墙的底座架构上采用安全操作系统，在使用中加强认证、加密舆等安全措施。提供友好的用户接口，在远程管理中所有会话和文件传输都是加密的，并且对文件的传输采用一次一密的方式，可有效地防止重传攻击。不同版本的防火墙系统可分别运行于WINDOWS、UNIX、LINUX等平台上，使用户能够根据自己的安全需求和投资情况做出合理的选择。该防火墙产品已通过国家信息安全认证中心、公安部计算机信息安全系统安全产品质量监督检验中心的检验，并列入科技部国家科技成果重点推广项目。